A321neo: Как маленькая ледяная ступенька победила огромную систему автоматизации
Современный пассажирский самолёт представляет собой одну из самых сложных технических систем, созданных человеком. В нём десятки вычислителей, несколько независимых каналов воздушных данных, автоматическое управление тягой, цифровая система управления полётом и многочисленные уровни резервирования. Но вся эта система имеет фундаментальное ограничение: она может обрабатывать только те физические данные, которые получает от внешнего мира. Если внешний физический вход становится недостоверным, сложность системы не гарантирует правильного результата. 2 декабря 2021 года Airbus A321-271N VQ-BGU авиакомпании S7 выполнял рейс 5220 из Магадана в Новосибирск. После взлёта несколько систем воздушных данных начали выдавать противоречивую информацию. Затем изменились законы управления полётом, самолёт начал резко менять положение в пространстве, а экипаж столкнулся с ситуацией, в которой показания скорости перестали быть надёжной опорой. Причина находилась не внутри вычислителей. Она была гораздо проще — и физически гораздо ближе к внешней поверхности самолёта.
Перед взлётом: самолёт уже не был «чистым»
В Магадане шёл снег. Перед вылетом противообледенительная обработка была выполнена на крыле и стабилизаторе, однако верхняя часть фюзеляжа, включая переднюю часть самолёта, не была очищена полностью.
Экипаж и наземный персонал исходили из предположения, что рыхлый снег во время разбега будет удалён потоком воздуха. Но для самолёта существует более жёсткое правило: критические поверхности должны быть очищены от снега и льда до начала взлёта. Это и есть концепция чистого воздушного судна.
Проблема заключалась не только в наличии снега как такового. В дальнейшем он стал исходным материалом для образования льда именно там, где его наличие оказалось особенно чувствительным для системы воздушных данных.
Противообледенительная обработка: важен не только сам факт обработки
В отчёте отдельно рассмотрены параметры применявшейся противообледенительной жидкости. Партия жидкости типа IV, изготовленная в 2019 году, после контрольного анализа в сентябре 2021 года соответствовала установленным требованиям. Однако жидкость из бака № 3 представляла собой смесь партий 155 и 55, а её динамическая вязкость составила 1860 мПа·с при минимально допустимом значении 2000 мПа·с.
Кроме того, для A321neo рекомендованное количество жидкости на этапе предотвращения обледенения составляло 230 литров, тогда как фактически было использовано 99 литров.
Это не означает, что причиной инцидента была одна «неправильная жидкость». Физическая цепочка была сложнее: погодные условия, снег на фюзеляже, последующее таяние и замерзание воды, состояние противообледенительной обработки и отсутствие обнаружения образовавшегося льда сошлись в одной точке.
Небольшая ледяная ступенька
После начала руления снег на фюзеляже начал таять. Вода стекала по холодной поверхности носовой части, а затем замерзала. Так образовались ледяные отложения в зоне перед приёмниками полного давления.
Это принципиальный момент всего случая. Лёд не обязательно должен полностью закрыть отверстие приёмника. Достаточно изменить геометрию поверхности непосредственно перед ним, чтобы изменить поток воздуха.
Так возник так называемый барьерный лёд: небольшая неровность перед приёмником стала аэродинамической преградой. Для глаза это несколько сантиметров льда. Для системы измерения воздушных параметров — изменение физического входного сигнала.
Приёмник полного давления не измеряет скорость
Здесь полезно остановиться на самой физике.
Приёмник полного давления, или Pitot probe, измеряет не скорость непосредственно. Он воспринимает полное давление потока. Система также получает статическое давление. Из разности этих величин вычисляется динамическое давление, а затем — воздушная скорость, отображаемая экипажу и используемая другими системами самолёта.
Поэтому цепочка выглядит следующим образом: воздух → давление → датчик → система воздушных данных → вычисленная скорость → индикация и логика управления.
Если поток перед приёмником изменён льдом, датчик может быть полностью исправен и при этом получать физически неправильное давление. Электроника в таком случае не «ломается». Она честно обрабатывает неправильный входной сигнал.
Проблема была не в трубке, а в потоке
Это отличает данный случай от классического сценария полностью заблокированного приёмника полного давления.
В случае VQ-BGU комиссия связывает недостоверность показаний с искажением воздушного потока перед приёмниками. Во время разгона показания скорости начали расходиться, а затем после определённого времени восстановились. Это согласуется с тем, что ледяное образование было сорвано потоком воздуха.
То есть физическая проблема находилась не обязательно внутри самого измерительного канала. Она находилась перед ним — в пространстве, через которое воздух должен был подойти к датчику.
Три системы воздушных данных — одна физическая проблема
На A321 установлено несколько независимых каналов воздушных данных. В нормальной логике резервирование должно позволять системе сравнивать результаты разных источников и обнаруживать отказ одного из них.
Но здесь возникла другая ситуация. Внешний фактор воздействовал сразу на несколько приёмников. Поэтому проблема не выглядела как простой отказ одного датчика. Несколько технически независимых каналов могли одновременно получать искажённую информацию из-за одного общего физического воздействия — обледенения.
Это классический пример отказа общего физического режима: электронная независимость каналов не устраняет общий внешний источник ошибки.
Первые минуты: скорость перестаёт быть надёжной опорой
После взлёта различия показаний воздушной скорости стали заметны экипажу. Командир распознал ситуацию как недостоверную скорость и выбрал BUSS — резервную шкалу скорости, предназначенную для полёта при ненадёжной информации о воздушной скорости.
Но проблема уже перестала быть локальной задачей одного прибора. Недостоверные данные воздушной системы начали влиять на работу автоматизации самолёта.
Автоматика начинает уходить
Когда система управления получает данные, которым она больше не может доверять в полном объёме, она меняет доступные законы управления.
В этом полёте первоначальная конфигурация была уже не обычной: по тангажу самолёт находился в ALTERNATE LAW, а по крену — в DIRECT LAW. Позже, примерно на высоте 7600 футов при скорости около 225 узлов и угле атаки около 11°, канал управления по тангажу также перешёл из ALTERNATE LAW в DIRECT LAW.
Это важное различие. Нельзя описывать событие просто как переход Normal → Alternate → Direct для всех каналов одновременно. Законы управления менялись последовательно и по отдельным осям.
Самолёт начинает вести себя не так, как ожидает экипаж
Смена закона управления означает не просто появление другого сообщения на экране. Меняется сама связь между движением органа управления и реакцией самолёта.
При ухудшении качества воздушных данных и переходе к менее защищённым законам управления привычная для экипажа реакция самолёта становится менее очевидной. На фоне сильного обледенения и турбулентности возникли большие изменения по крену и тангажу.
В определённый момент экипаж даже предположил возможную неисправность левого сайдстика и передал управление второму пилоту. Это не изменило характер реакции самолёта.
Разворот назад уже не является простой процедурой
Экипаж предпринял попытку вернуться в район вылета. Но теперь задача состояла не просто в изменении курса.
Самолёт одновременно находился в условиях сильного обледенения, турбулентности, недостоверной воздушной скорости и изменённых законов управления. Пилоты должны были управлять траекторией, практически не имея прежней надёжности части основных параметров.
Именно здесь простой первоначальный дефект начинает превращаться в системную ситуацию.
Снижение, разгон и резкий набор
В дальнейшем параметры полёта начали быстро изменяться. Самолёт снижался, затем разгонялся, после чего возник резкий набор высоты.
При этом экипаж продолжал работать в условиях противоречивой информации о скорости и изменившихся характеристик управления. Нельзя рассматривать каждое последующее движение как отдельную неисправность. Это была развивающаяся цепочка, в которой одна ошибка физического входного сигнала уже воздействовала на несколько уровней системы.
Когда скорость на экране больше не означает скорость самолёта
Примерно на высоте 12 900 футов при показании скорости около 170 узлов и угле атаки около 13° возникло продолжительное предупреждение сваливания. Затем угол атаки увеличился более чем до 30°, после чего самолёт перешёл к быстрому снижению.
Здесь проявился главный парадокс ситуации: приборы и вычислители продолжали работать, но физическая величина, на которой строилась часть расчётов, была ненадёжной.
Компьютер не перестал считать. Он перестал получать данные, на которые можно было полностью опереться.
Стабилизатор начинает играть против запаса управления
По мере развития ситуации положение стабилизатора стало одним из факторов, усложнявших восстановление продольного управления.
В условиях DIRECT LAW самолёт уже не обладал прежним уровнем автоматической защиты, а экипажу приходилось непосредственно компенсировать изменение положения самолёта. Поэтому небольшая ошибка в оценке состояния самолёта могла иметь существенно больший результат, чем в Normal Law.
DIRECT LAW: самолёт остаётся управляемым, но защита исчезает
Переход в DIRECT LAW не означает, что самолёт перестаёт управляться. Он означает, что значительная часть прежней логики преобразования команд пилота и автоматических защит больше не действует в прежнем виде.
В такой конфигурации экипаж фактически возвращается ближе к непосредственному управлению аэродинамическим объектом — но при этом должен продолжать работать с недостоверной воздушной информацией и высокой динамикой движения самолёта.
Пространственная раскачка
В наиболее тяжёлой фазе самолёт совершал резкие колебания по крену и тангажу. Зарегистрированные параметры показывают экстремальные значения порядка −90° и +47° по крену и значительные изменения по тангажу.
Важно не называть это установленным «Dutch Roll»: отчёт фиксирует резкие пространственные изменения положения самолёта, но такой термин не является необходимым для объяснения произошедшего.
Инженерно важнее другое: самолёт оказался в режиме, в котором нормальная связь между действиями экипажа, показаниями приборов и реакцией воздушного судна стала крайне трудной для прогнозирования.
Четыре минуты почти без нормального продольного управления
Наиболее тяжёлая фаза продолжалась несколько минут. Продольное управление оставалось резко ухудшенным, а самолёт совершал большие изменения пространственного положения.
Это уже не выглядело как обычный отказ одного оборудования. Физический входной сигнал был нарушен, система воздушных данных потеряла достоверность, законы управления изменились, а экипаж оказался перед самолётом с существенно иной динамикой.
Ручная перестановка стабилизатора возвращает контроль
Перелом наступил после ручного изменения положения стабилизатора. Его положение было уменьшено примерно с 9,3° до 7,5°, а затем до 6,5° на кабрирование.
После этого управление самолётом восстановилось. Примерно через 83 секунды система управления снова перешла из DIRECT LAW в ALTERNATE LAW.
Это один из наиболее показательных моментов всего события: восстановление управляемости произошло не благодаря внезапному «исправлению компьютера», а после физического изменения конфигурации самолёта экипажем.
Самолёт выжил
После восстановления управляемости экипаж продолжил полёт и выполнил посадку в Иркутске.
На борту находились 202 пассажира и 7 членов экипажа. Пострадавших не было.
Это важная часть инженерного анализа: система не только вошла в опасное состояние, но и сохранила достаточно возможностей для восстановления. Резервирование, возможности управления самолётом, действия экипажа и последовательное возвращение к более защищённому закону управления в итоге позволили завершить полёт.
После посадки лёд оказался там, где его не должно было быть
После полёта при обследовании самолёта были обнаружены ледяные отложения на элементах передней кромки крыла, а также на других поверхностях планера.
Фотографии обследования показывают реальные зоны обнаруженных отложений льда и инея на правой и левой консолях крыла. Они важны не как иллюстрация драматического события, а как физическое подтверждение того, что произошло с самолётом на земле и в первые минуты полёта.
Особенно важна связь между состоянием носовой части и работой приёмников полного давления: изменение потока перед ними могло непосредственно повлиять на показания воздушных данных.
Это был не один отказ
Если попытаться описать инцидент одним предложением — «замёрзли приёмники скорости» — получится слишком простая картина.
Фактическая цепочка была многоступенчатой: снег на фюзеляже → таяние снега при рулении → стекание воды по холодной поверхности → повторное замерзание → образование льда перед приёмниками полного давления → искажение воздушного потока → недостоверные данные воздушной скорости → изменение законов управления → резкое ухудшение управляемости.
Дополнительными факторами были погодные условия, особенности противообледенительной обработки и недостаточный контроль состояния критических поверхностей перед вылетом.
Резервирование не равно независимости от физического мира
Это, пожалуй, главный инженерный вывод случая.
Три канала измерения могут быть электронно независимыми, но при этом иметь общий внешний источник ошибки. Если один и тот же кусок льда изменяет поток перед несколькими приёмниками, система получает несколько согласованных по происхождению неправильных входных сигналов.
Поэтому настоящая отказоустойчивость требует не только нескольких датчиков. Она требует независимости физических принципов, расположения, среды и условий, в которых эти датчики получают информацию.
Почему огромная автоматизация оказалась уязвимой
Современный Airbus не был создан с расчётом на то, что все физические входные данные могут стать неправильными одновременно. Его архитектура рассчитана на обнаружение и изоляцию отказов, а также на переход к более простым законам управления при потере отдельных источников информации.
Но здесь произошло не классическое разрушение электронной системы. Внешний физический мир изменил условия измерения.
Именно поэтому эта история особенно интересна инженерно: компьютер не был противником самолёта. Он был частью цепочки, которая продолжала работать на основе данных, ставших ненадёжными.
Главный инженерный урок
Самая сложная система в мире всё равно не может вычислить правильный ответ из неправильного входного сигнала.
В данном случае точка отказа находилась почти на границе между атмосферой и самолётом. Небольшое ледяное образование изменило поток воздуха перед простым измерительным элементом. Далее уже работала огромная цифровая система: датчики, вычислители воздушных данных, индикация, законы управления и защиты.
Именно поэтому понятие «чистого самолёта» — не формальность наземного обслуживания. Это часть общей архитектуры безопасности. Если поверхность, через которую система получает физическую информацию, загрязнена, ошибка может пройти через все последующие уровни обработки.
В конечном счёте современный самолёт всё ещё летит не благодаря компьютеру. Он летит благодаря воздуху. Компьютер лишь пытается правильно понять, что этот воздух делает.